“title”: “eMudhra e il gioco delle chiavi che tutti possono trovare”,
“excerpt”: “Un errore grossolano nella generazione delle chiavi private di alcuni certificati intermedi eMudhra sta mandando in tilt la sicurezza del web. Se usi curl o sistemi non aggiornati, potresti essere in viaggio verso un MITM di massa.”,
“content”: “Avete mai desiderato lasciare le chiavi di casa attaccate alla serratura, con un cartello gigante che dice: «Ehi, sono qui!»?nnEcco, la eMudhra ha praticamente fatto questo con otto dei suoi certificati Intermediate CA. Non è una metafora simpatica, è un disastro tecnico che sta facendo tremare le fondamenta della fiducia digitale. Il problema non è un attacco hacker sofisticato tipo quelli che vediamo in Mr. Robot, ma qualcosa di molto più banale e, onestamente, quasi offensivo per chiunque mastichi un briciolo di crittografia: le chiavi private sono state generate in modo così errato che chiunque può recuperarle partendo dai certificati pubblici.nnSì, avete letto bene. Non serve un supercomputer della NASA, basta un po’ di buona volontà e l’uso di OpenSSL per ricostruire le chiavi compromesse. Il risultato? Un attaccante potrebbe impersonare qualsiasi sito o servizio in modo totalmente invisibile. Se ti trovi nel bel mezzo di un attacco Man-in-the-Middle, il tuo browser potrebbe non accorgersi di nulla, perché il certificato apparirebbe perfettamente legittimo.nnLa buona notizia (se così si può dire) è che i ‘big’ del settore si sono svegliati. Mozilla, Apple e Google hanno già iniziato a bloccare questi certificati nei loro trust store. Se usi Firefox o Chrome, sei (relativamente) al sicuro. Il vero problema è tutto per quel mondo di software, script e tool da riga di comando che non controllano le liste di revoca in tempo reale. Se sei uno di quegli eroi che automatizza tutto con curl, Python o script custom su server Linux che non vedono un update da mesi, potresti essere ancora vulnerabile.nnPer chi vive nel terminale, la situazione è un po’ una giungla. Se usi macOS, occhio che il curl di sistema punta a un file di certificati che non si aggiorna da solo. Se sei su Linux, la situazione dipende da quanto è ‘fresca’ la tua distribuzione. Arch, Debian, Ubuntu e altri stanno già rilasciando patch, ma se sei rimasto bloccato su una versione legacy, potresti dover intervenire manualmente per ‘blacklistare’ i certificati compromessi.nnNonostante la notizia non tocchi direttamente le nostre leggi o la burocrazia italiana, l’impatto è globale. La fiducia nelle CA è il pilastro su cui poggia l’intero web moderno; quando questo pilastro si crepa per una svista tecnica così elementare, l’unica cosa che resta da fare è rimboccarsi le maniche, aggiornare i pacchetti e sperare che la prossima ‘innovazione’ del settore non sia un’altra catastrofe annunciata.”,
“tags”: [“CyberSecurity”, “Cryptography”, “SysAdmin”, “OpenSource”, “Infosec”],
“image_prompt”: “A digital glitch art